19.4. Kerberos et PAM

Actuellement, les services kerberisés n'utilisent pas les modules d'authentification enfichagbles (ou PAM de l'anglais Pluggable Authentication Modules) — les serveurs kerberisés contournent complètement les PAM. Toutefois, les applications utilisant des PAM peuvent se servir de Kerberos pour l'authentification si le module pam_krb5 (contenu dans le paquetage pam_krb5) est installé. Le paquetage pam_krb5 contient des exemples de fichiers de configuration permettant à des services tels que login et gdm d'authentifier des utilisateurs et d'obtenir des certificats d'identité initiaux à l'aide de leur mot de passe. Pour autant que l'accès aux serveurs de réseau s'effectue toujours à l'aide de services kerberisés ou de services utilisant GSS-API, tels que IMAP, le réseau peut être considéré comme raisonnablement sécurisé.

Astuce

Les administrateurs s'assureront de ne pas permettre l'authentification des utilisateurs auprès de la plupart des réseaux au moyen de leurs mots de passe Kerberos. En effet, de nombreux protocoles utilisés par ces services ne cryptent pas le mot de passe avant de l'envoyer sur le réseau, annulant ainsi tous les avantages d'un système Korberos. Les utilisateurs ne devraient par exemple pas être autorisés à s'authentifier au moyen de leur mot de passe Kerberos sur un réseau Telnet.